RegTracer

Datenschutzerklärung

Diese Erklärung gilt für RegTracer: das Portal zur Pflege des Regelwerks und die Programmierschnittstellen (REST-API unter /v1 und MCP-Schnittstelle für KI-Agenten unter /mcp).

1. Verantwortlicher

agorens UG (haftungsbeschränkt)
Trenknerweg 79, 22605 Hamburg, Deutschland
Vertreten durch: Dr. Andreas Martens
E-Mail: kontakt@marts.group

Ein Datenschutzbeauftragter ist nicht bestellt; die Voraussetzungen des § 38 BDSG liegen nicht vor.

2. Was RegTracer tut – und was nicht

• Keine Cookies, kein Tracking, keine Reichweitenmessung. Es werden keine Analyse- oder Werbewerkzeuge eingesetzt.
• Alle Bestandteile des Portals (Skripte, Stylesheets, Schriften, Bilder) werden von unserem eigenen Server ausgeliefert. Beim Aufruf des Portals wird Ihre IP-Adresse an keinen Dritten übertragen. Eine Ausnahme ist die Schnittstellendokumentation unter /docs, siehe Abschnitt 7.
• Speicher im Browser: Nach der Anmeldung legt das Portal das Anmeldetoken und Ihre Kontoangaben im lokalen Speicher Ihres Browsers ab, außerdem Anzeigeeinstellungen, die Sie selbst wählen (z. B. das gewählte Schaubild). Das ist für den von Ihnen gewünschten Dienst unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Beim Abmelden wird das Token entfernt; es ist höchstens 120 Minuten gültig.
• RegTracer trifft keine Entscheidungen über Personen. Die Prüfung ermittelt, welche gesetzlichen Pflichten für einen geschilderten Sachverhalt gelten. Eine automatisierte Entscheidung im Sinne von Art. 22 DSGVO findet nicht statt.

3. Server-Protokolle

Daten

IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, Statuscode, übertragene Datenmenge, Browser- und Betriebssystemkennung (User-Agent).

Zweck

Auslieferung, Betriebssicherheit, Fehlersuche, Abwehr von Angriffen.

Rechtsgrundlage

Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist der sichere Betrieb.

Speicherdauer

Die IP-Adresse erfasst allein der vorgeschaltete Webserver (TLS-Terminierung). Seine Protokolle werden täglich gewechselt und nach weiteren 6 Tagen gelöscht; jeder Eintrag ist damit nach spätestens 7 Tagen gelöscht. Die Protokolle der Anwendung selbst enthalten keine IP-Adressen und keine Abfrageparameter.

4. Konten im Portal

Das Portal nutzen nur Personen, denen wir ein Konto eingerichtet haben (Redaktion, Kuration, Administration).

Daten

Name, E-Mail-Adresse, Rolle, Passwort (nur als Argon2-Hash), Zeitpunkt der letzten Anmeldung.

Zweck

Anmeldung, Rechteverwaltung, Schutz des Kontos.

Rechtsgrundlage

Art. 6 Abs. 1 lit. b DSGVO (Nutzungsvertrag), bei Beschäftigten § 26 BDSG.

Speicherdauer

Bis zur Löschung des Kontos.

Schutz vor Anmeldeversuchen

Fehlgeschlagene Anmeldungen werden mit IP-Adresse und eingegebener E-Mail-Adresse gespeichert, um Konten nach wiederholten Fehlversuchen vorübergehend zu sperren (Art. 6 Abs. 1 lit. f DSGVO). Diese Einträge werden nach 24 Stunden gelöscht.

Änderungsprotokoll (Audit)

Jede Änderung am Regelwerk wird mit der E-Mail-Adresse der handelnden Person und dem Zeitpunkt protokolliert, ebenso An- und Abmeldungen und Sperren eines bestehenden Kontos. Das Protokoll weist nach, wer welche Regel geprüft und freigegeben hat (Vier-Augen-Prinzip), und ist deshalb unveränderlich (Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist die Nachvollziehbarkeit der veröffentlichten Rechtsauskünfte). Es enthält keine IP-Adressen und keine Eingaben zu nicht bestehenden Konten.

Speicherdauer: Einträge zu An- und Abmeldungen werden nach drei Jahren gelöscht. Einträge zu Änderungen am Regelwerk bleiben erhalten, solange das Regelwerk-Release abrufbar ist, in das die Änderung eingegangen ist, mindestens jedoch drei Jahre; nur so lässt sich belegen, wer eine veröffentlichte Auskunft geprüft und freigegeben hat. Veröffentlichte Releases werden derzeit nicht gelöscht.

5. Nutzung der Schnittstellen (API und MCP)

Unsere Kunden greifen mit einem persönlichen API-Schlüssel auf die Schnittstellen zu.

Daten

Name des Schlüssels und Kunde; Zahl der Aufrufe je Minute und Tag (Begrenzung und Abrechnung); bei Prüfanfragen der übermittelte Sachverhalt (z. B. Anlagentyp, Leistung, Ereignisdaten) und das Ergebnis.

Zweck

Erbringung des Dienstes, Missbrauchsschutz, Abrechnung, Nachweis, welche Auskunft auf welchem Stand des Regelwerks erteilt wurde.

Rechtsgrundlage

Art. 6 Abs. 1 lit. b DSGVO (Vertrag mit dem Kunden).

Die Schnittstellen erwarten Angaben zu Anlagen und Marktrollen, keine Angaben zu Personen. Bitte übermitteln Sie keine Namen, Anschriften oder anderen personenbezogenen Daten in Prüfanfragen.

Speicherdauer: Prüfprotokolle werden 12 Monate nach der Anfrage gelöscht. Die Aufrufzähler je Minute werden nach einem Tag, alle übrigen Zähler nach 40 Tagen gelöscht.

6. KI-Dienste

Zur Ableitung und Gegenprüfung von Regeln senden wir Gesetzestexte an KI-Modelle der Anbieter Anthropic und OpenAI; Vertragspartner sind die Unternehmen selbst, die Verarbeitung findet in den USA statt. Dabei werden keine personenbezogenen Daten übermittelt.

Nur wenn ein Kunde ausdrücklich den Simulationsmodus nutzt, wird der Sachverhalt seiner Prüfanfrage an Anthropic übermittelt und dort von einem KI-Modell beantwortet. Die Übermittlung in die USA stützt sich auf den Angemessenheitsbeschluss der EU-Kommission zum EU-U.S. Data Privacy Framework (Art. 45 DSGVO), soweit der Anbieter zertifiziert ist, und im Übrigen auf Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).

7. Schnittstellendokumentation

Die interaktive Dokumentation unter /docs lädt die Darstellungskomponente „Swagger UI“ vom Content-Delivery-Netz jsDelivr (cdn.jsdelivr.net). Dabei wird Ihre IP-Adresse an den Betreiber dieses Netzes übertragen. Das geschieht nur, wenn Sie /docs aufrufen; das Portal selbst und die Schnittstellen laden nichts von fremden Servern. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer bedienbaren Dokumentation). Die maschinenlesbare Beschreibung unter /openapi.json ist ohne diesen Dienst abrufbar.

8. Kontaktaufnahme per E-Mail

Daten

E-Mail-Adresse, Name, Inhalt der Nachricht und die technischen Kopfdaten der E-Mail.

Zweck

Bearbeitung Ihrer Anfrage, auch eines Antrags auf einen API-Schlüssel.

Rechtsgrundlage

Art. 6 Abs. 1 lit. b DSGVO bei vertragsbezogenen Anfragen, sonst Art. 6 Abs. 1 lit. f DSGVO.

Speicherdauer

Löschung, sobald der Vorgang abgeschlossen ist, spätestens sechs Monate nach der letzten Antwort; ausgenommen Handels- und Geschäftsbriefe mit gesetzlicher Aufbewahrungsfrist (§ 257 HGB, § 147 AO: sechs bzw. zehn Jahre).

9. Empfänger und Hosting

RegTracer wird auf einem Server in Deutschland betrieben. Dienstleister erhalten Daten nur, soweit es für ihre Leistung nötig ist: der Hosting-Anbieter (Betrieb des Servers), die unter 6 genannten KI-Anbieter und der unter 7 genannte Auslieferungsdienst.

Hosting-Anbieter: STRATO AG, Otto-Ostrowski-Straße 7, 10249 Berlin. Die Daten werden in Rechenzentren in Deutschland verarbeitet.

10. Sicherungen

Die Datenbank und die hinterlegten Dokumente werden täglich gesichert. Die Sicherungen auf dem Server werden nach 14 Tagen gelöscht, die Kopien außerhalb des Servers nach 30 Tagen. Daten, die im Betrieb gelöscht wurden, sind damit spätestens nach 30 Tagen auch aus allen Sicherungen entfernt.

11. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20). Eine Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3). Wenden Sie sich dazu an die oben genannte E-Mail-Adresse.

Sie haben außerdem das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Für uns zuständig ist: Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit, Ludwig-Erhard-Straße 22, 20459 Hamburg.

Impressum · Für Entwickler · Stand: 13. Oktober 2026